Azure HDInsight: Schwachstelle zur Offenlegung von Informationen
Zusammenfassung
Microsoft Azure HDInsight, ein verwalteter Cloud-Dienst für Open-Source-Frameworks für Big Data, enthält eine Schwachstelle zur Offenlegung von Informationen (CWE-200). Ein nicht autorisierter Angreifer mit Netzwerkzugriff kann ohne Authentifizierung und ohne Benutzerinteraktion sensitive Informationen abrufen. Microsoft gibt nicht an, welche Daten offengelegt werden, und der CVSS-Vektor weist nur auf eine Auswirkung auf die Vertraulichkeit hin.
Betroffen
- Microsoft Azure HDInsight: Versionen 1.0 bis vor Build 2606012120
Behoben in
- Build 2606012120 und neuer, gemäss dem verwandten Advisory CVE-2026-81349. Ob für diese CVE derselbe Fix erforderlich ist, muss im MSRC-Advisory überprüft werden.
Umgehung
Unbekannt.
Ausnutzung
- Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- CISA SSVC: Exploitation none, Automatable no.
- Der CVSS-Vektor von Microsoft enthält E:U (Exploit-Code-Reife unbewiesen).
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Alle HDInsight-Cluster im Azure-Tenant identifizieren.
- Prüfen, ob der Image-Build der Cluster mindestens 2606012120 ist.
- Die MSRC-Hinweise zum Neuerstellen betroffener Cluster befolgen, sofern zutreffend.
- Netzwerkexposition und Zugriffskontrollen der Cluster überprüfen.
- Die Priorität als niedrig einstufen, sofern HDInsight nicht aktiv genutzt wird.
Angaben von Microsoft (Patch Tuesday Oktober 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-85891 msrc.microsoft.com
- Microsoft advisory CVE-2026-81349 (sibling HDInsight advisory) msrc.microsoft.com
- OpenCVE: CVE-2026-85891 app.opencve.io
- Strix: CVE-2026-85891 www.strix.ai
- Rapid7: October 2026 Patch Tuesday www.rapid7.com
- Orca Security: Azure HDInsight vulnerabilities orca.security
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 18:33.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.